Responder a um questionário de segurança de fornecedores sobre WiFi: uma lista de verificação com as evidências a anexar

Utilize isto para delimitar um questionário de segurança de WiFi de um fornecedor. Com 60 perguntas e 70% de provas reutilizáveis, permite poupar 14,5 horas de trabalho. Dessas perguntas, 18 necessitam de novas provas. A lista de verificação mapeia cada pergunta ao artefacto a anexar, desde definições de autenticação e registos de acesso a certificados de ISO 27001 e registos de segmentação PCI DSS.

O que devolve esta ferramenta de questionário de segurança de WiFi?

Um questionário de segurança de WiFi de um fornecedor chega à equipa de rede com um prazo e pouco contexto. Pode provir de um cliente corporativo, de um parceiro de pagamentos, de uma seguradora, de um franchisador ou da sua própria equipa de compras. As perguntas repetem-se de uma revisão para a seguinte. No entanto, as provas encontram-se em várias consolas e em várias caixas de entrada.

Esta ferramenta transforma isso num plano. Tem duas partes e cada uma devolve algo sobre o qual pode atuar:

• A calculadora de esforço devolve três coisas: as horas para concluir a secção de WiFi, o número de perguntas que necessitam de novas provas e as horas que o seu pacote de provas permanente poupa.
• A lista de verificação de provas devolve os artefactos a manter em arquivo, agrupados por rede. A maioria das respostas torna-se então numa simples consulta em vez de um projeto.

Cada pergunta mapeia para uma de três redes, ou para a governação:

• A rede aberta suporta convidados e a integração de dispositivos próprios (BYOD). Estes entram através de um portal cativo, a página web que condiciona o acesso antes de um dispositivo se ligar.
• A rede segura suporta colaboradores em IEEE 802.1X, o padrão que faz com que cada dispositivo se autentique antes de obter um endereço.
• A rede xPSK atribui a cada dispositivo ou residente a sua própria chave pré-partilhada. Uma chave divulgada nunca expõe todos os outros.

Nas três redes, a identidade define a VLAN, o segmento lógico de rede onde um dispositivo vai parar.

{"kind":"flow","direction":"lr","caption":"Como um questionário de segurança WiFi passa da receção a um pacote de provas mais completo","alt":"Um fluxo desde a receção do questionário, passando pela etiquetagem, correspondência de provas, recolha recente e aprovação, regressando para atualizar o pacote permanente.","nodes":[{"id":"a","label":"Chegada do questionário","sub":"De um cliente, seguradora, parceiro ou auditor","tone":"neutral"},{"id":"b","label":"Etiquetar cada pergunta","sub":"Aberta, segura, xPSK ou governação","tone":"brand"},{"id":"c","label":"Corresponder ao pacote permanente","sub":"Exportações datadas, capturas de ecrã, certificados","tone":"brand"},{"id":"d","label":"Recolher provas recentes","sub":"Locais amostrados, teste de saídas, prova de segmentação","tone":"neutral"},{"id":"e","label":"O responsável reveu e assina","sub":"Cada resposta cita a prova em anexo","tone":"neutral"},{"id":"f","label":"Devolver e atualizar o pacote","sub":"Novos artefactos juntam-se ao pacote para a próxima vez","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"lacunas"},{"from":"c","to":"e","label":"coberto"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"próxima revisão","style":"dashed"}]}

Esse ciclo é o objetivo. Cada questionário a que responde deve deixar o pacote mais completo, para que o próximo custe menos.

As provas vêm de consolas que já opera:

• Dashboard da Cisco Meraki
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• A aplicação Ubiquiti UniFi Network

Juntamente com estas, o Purple Access dá-lhe visibilidade e relatórios nas redes abertas, seguras e xPSK.

Como utilizar a calculadora e a lista de verificação de provas?

Comece pela calculadora. Conte as perguntas na secção de WiFi. Depois, estime a percentagem a que pode responder com base em provas que já possui, datadas do último trimestre. Seja honesto nessa segunda introdução de dados. Uma captura de ecrã sem data do ano passado não é uma prova reutilizável.

{"title":"Calculadora de esforço para questionários de segurança WiFi","intro":"Introduza o tamanho da secção de WiFi e quanto do seu pacote de evidências atual é coberto. Retorna as horas necessárias para responder, as perguntas que precisam de evidências recentes e as horas que o pacote poupa.","inputs":[{"id":"questions","label":"Perguntas de WiFi no questionário","unit":"perguntas","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"Percentagem reutilizável do seu pacote de evidências datado","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"Minutos por pergunta respondida a partir do pacote","unit":"min","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"Minutos por pergunta que requer evidências recentes","unit":"min","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"Locais amostrados pelo revisor","unit":"locais","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"Minutos de recolha de evidências por local amostrado","unit":"min","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"Horas para concluir a secção de WiFi","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"horas"},{"id":"fresh","label":"Perguntas que requerem evidências recentes","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"perguntas"},{"id":"saved","label":"Horas poupadas pelo pacote de evidências","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"horas"}],"example":"Com 60 perguntas, 70% de reutilização, seis e 30 minutos por resposta e quatro locais amostrados a 20 minutos cada, o resultado é 14.5 horas, 18 perguntas que requerem evidências recentes e 16.8 horas poupadas.","assumptions":["Os valores de tempo são estimativas de planeamento ilustrativas e não referências da Purple: substitua-os pelos seus próprios valores.","Reutilizável significa datado no último trimestre e pertencente a uma pessoa identificada.","O tempo por local inclui capturas de ecrã da consola e uma exportação de registo de amostra.","As rondas de acompanhamento do revisor não estão incluídas."]}

Em seguida, percorra a lista de verificação. É o seu pacote permanente de evidências, agrupado por rede. Transfira-o como um CSV e atribua um responsável a cada linha. Depois, registe a data em que cada artefacto foi recolhido pela última vez.

{"title":"Pacote de evidências WiFi permanente","groups":[{"heading":"Governação e evidências do fornecedor","items":[{"text":"Certificado ISO 27001 e declaração de escopo da Purple"},{"text":"Certificado Cyber Essentials da Purple"},{"text":"Acordo de processamento de dados que cobre os dados do portal cativo sob o GDPR"},{"text":"Diagrama de rede de SSIDs, VLANs e saída para a internet, com data deste trimestre"}]},{"heading":"Rede segura: colaboradores","items":[{"text":"Captura de ecrã da consola do SSID dos colaboradores configurado para WPA2- ou WPA3-Enterprise com 802.1X"},{"text":"Exportação da política RADIUS mostrando o EAP-TLS e a VLAN devolvida por grupo"},{"text":"Ligação ao fornecedor de identidade: Microsoft Entra ID, Okta ou Google Workspace"},{"text":"Teste com data de remoção de utilizador: conta desativada, acesso revogado, ambas as marcas temporais registadas"},{"text":"Data de expiração do certificado do servidor RADIUS e responsável pela renovação"},{"text":"Perfil de MDM que distribui certificados de dispositivos"}]},{"heading":"Rede xPSK: dispositivos e residentes","items":[{"text":"Exportação do inventário de chaves: uma chave por dispositivo ou residente, com a respetiva VLAN"},{"text":"Registo de revogação de uma chave removida"},{"text":"Regra de rotação de chaves em dispositivos sem interface direta, como leitores de código de barras e sinalética digital"}]},{"heading":"Rede aberta: convidados e BYOD","items":[{"text":"Regras de VLAN e firewall a demonstrar que os convidados não conseguem aceder às redes de colaboradores ou de pagamentos"},{"text":"Definição de isolamento de clientes a partir da consola dos pontos de acesso"},{"text":"Texto de consentimento do Captive Portal e um registo de consentimento de amostra"},{"text":"Resultado do teste de segmentação PCI DSS mais recente, se a empresa aceitar cartões"}]},{"heading":"Registos e monitorização","items":[{"text":"Exportação de amostra de registos de autenticação do Purple Access, com marcas temporais"},{"text":"Período de retenção de registos declarado e o SIEM que recebe os registos"},{"text":"Relatório de pontos de acesso não autorizados a partir do seu controlador"},{"text":"Contacto nomeado para incidentes e rota de escalamento"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

O checklist utiliza alguns termos que vale a pena definir:

• RADIUS (RFC 2865) é o protocolo que transporta os pedidos de autenticação do ponto de acesso para o servidor.
• EAP-TLS (RFC 5216) autentica cada dispositivo com um certificado em vez de uma palavra-passe.
• MDM é a gestão de dispositivos móveis, o sistema que envia esses certificados para os dispositivos.
• SIEM é a sua plataforma de gestão de eventos e informações de segurança.

Elimine os grupos relativos a redes que não opera. Se não tiver uma rede xPSK, essas três linhas são removidas. Quaisquer perguntas sobre xPSK passam a ser "não aplicável" com uma razão de uma linha.

{"tone":"warning","title":"Oculte informação sensível antes de anexar","text":"Remova segredos partilhados do RADIUS, chaves pré-partilhadas e chaves privadas de certificados de todas as exportações e capturas de ecrã. A resposta a um questionário viaja frequentemente muito para além do revisor que a solicitou."}

Exemplo prático: uma revisão de 60 perguntas para um retalhista com 140 lojas

O património abaixo é ilustrativo e não se refere a um cliente com o nome Purple. Trata-se de um grupo de retalho com 140 lojas no Cisco Meraki e uma sede no HPE Aruba. Um parceiro de pagamentos envia uma avaliação de segurança de fornecedores com uma secção WiFi de 60 perguntas.

O grupo opera as três redes:

• Aberta: os clientes associam-se através de um portal cativo, no seu próprio VLAN.
• Segura: os colaboradores associam-se com EAP-TLS contra Microsoft Entra ID.
• xPSK: os scanners portáteis e a sinalética digital têm, cada um, a sua própria chave.

Dados de entrada	Valor	Base
Perguntas WiFi	60	Contadas a partir do questionário
Percentagem de respostas possíveis a partir do pacote	70%	42 perguntas correspondentes a artefactos datados
Minutos por resposta reutilizada	6	Colar, verificar a data, nomear o responsável
Minutos por resposta nova	30	Capture, redigir, escrever, rever
Locais amostrados	4	Três lojas e a sede
Minutos por local amostrado	20	Capturas de ecrã da consola e exportação de registos

Com estes dados de entrada, a calculadora apresenta 14,5 horas:

• As 42 respostas reutilizadas demoram 4,2 horas.
• As 18 respostas novas demoram nove horas.
• Os quatro locais amostrados adicionam cerca de 1,3 horas.

Sem o pacote, a mesma secção demoraria 31,3 horas. O pacote poupa 16,8 horas nesta avaliação individual.

Quais foram as 18 perguntas que precisaram de provas novas? Neste exemplo, a maioria era específica de um local ou tinha uma nova formulação. O revisor pretendia três coisas que o pacote não continha:

• Um teste de saídas de colaboradores datado.
• Prova de segmentação entre convidados e pagamentos para as lojas amostradas.
• Um período por escrito para a retenção de registos.

A tabela abaixo mapeia as perguntas típicas com as evidências anexadas. Transfira-a e adicione a formulação dos seus próprios revisores.

{"caption":"Perguntas comuns do questionário de WiFi e evidências a anexar","asOf":"2026-06-10","columns":[{"key":"q","label":"Pergunta como os avaliadores a formulam"},{"key":"net","label":"Rede"},{"key":"ev","label":"Evidência a anexar"}],"rows":[["O acesso sem fios é autenticado por indivíduo?","Segura","Captura de ecrã do SSID a mostrar 802.1X; exportação de política RADIUS a mostrar EAP-TLS"],["Existem palavras-passe de WiFi partilhadas em utilização?","xPSK, segura","Inventário de chaves a mostrar uma chave por dispositivo; pessoal em 802.1X"],["Como são removidos os colaboradores cessantes do WiFi?","Segura","Teste datado de colaboradores cessantes e registo do fornecedor de identidade"],["O tráfego de convidados está separado dos sistemas internos?","Aberta","Mapa de VLAN, regras de firewall e configuração de isolamento de clientes"],["O WiFi consegue alcançar o ambiente de dados do titular do cartão?","Todas as três","Resultado do último teste de segmentação PCI-DSS"],["Que encriptação protege o WiFi corporativo?","Segura","Configuração de segurança do SSID: WPA2- ou WPA3-Enterprise"],["Durante quanto tempo são mantidos os registos de acesso ao WiFi?","Todas as três","Período de retenção por escrito e amostra da exportação do registo"],["Deteta pontos de acesso não autorizados?","Todas as três","Relatório de pontos de acesso não autorizados a partir do controlador"],["Como são tratados os dados pessoais do WiFi de convidados?","Aberta","Texto de consentimento do Captive Portal e acordo de processamento"],["Que certificações detém o seu fornecedor de WiFi?","Governação","Certificados Purple ISO 27001 e Cyber Essentials"]],"footnote":"Cada resposta descreve um controlo e anexa evidências correspondentes. A decisão sobre se uma norma é cumprida pertence ao avaliador.","download":{"filename":"wifi-questionnaire-question-map.csv"}}

Observe a redação na coluna de evidências. Cada resposta descreve um controlo e anexa evidências correspondentes. Nenhuma afirma categoricamente que o ambiente cumpre uma norma. Isso mantém as suas respostas defensáveis se o avaliador fizer um acompanhamento.

Como é calculado o valor de 14,5 horas?

A calculadora soma três blocos de trabalho e depois divide por 60 para converter minutos em horas:

1. Respostas reutilizadas: perguntas × percentagem de reutilização × minutos por resposta reutilizada. Com os valores predefinidos, 42 × 6 = 252 minutos.
2. Novas respostas: perguntas × (100% - percentagem de reutilização) × minutos por nova resposta. Com os valores predefinidos, 18 × 30 = 540 minutos.
3. Locais amostrados: locais × minutos por local. Com os valores predefinidos, 4 × 20 = 80 minutos.

O total é de 872 minutos, ou 14,5 horas. A contagem de novas perguntas arredonda para cima, porque uma pergunta parcialmente coberta continua a precisar da sua própria evidência.

O resultado de horas poupadas calcula o custo das respostas reutilizadas como se fossem novas: 42 × (30 - 6) ÷ 60 = 16,8 horas. Adicione 16,8 a 14,5 e obtém o custo de 31,3 horas para responder de raiz.

A percentagem de reutilização é a chave:

• Em 60 perguntas, cada 10 pontos de reutilização poupam 2,4 horas.
• Aumentar a reutilização de 70% para 90% reduz a secção de 14,5 horas para 9,7.
• Os locais amostrados mal alteram o total, a menos que o avaliador exija evidências de muitas localizações.

Todas as estimativas de tempo são apenas valores de planeamento para este exemplo e não benchmarks da Purple. Substitua-as assim que tiver cronometrado um questionário real. Partilhe as ipóteses se um revisor perguntar como definiu a data de resposta.

{"tone":"tip","title":"Cronometre o próximo","text":"Anote os minutos que gasta em cada resposta no seu próximo questionário. Introduza esses valores na calculadora e as suas estimativas deixarão de ser palpites."}

Como adaptar a lista de verificação ao meu património?

Defina os dados de entrada a partir do documento que tem à sua frente

Conte as perguntas sobre WiFi no questionário real em vez de adivinhar pelo título. Os formulários normalizados e as revisões personalizadas de clientes variam imenso em extensão. Defina a quota de reutilização apenas depois de corresponder cada pergunta a uma linha datada na lista de verificação.

Patrimónios multi-fornecedor

Planeie um site de amostra por consola, pois os revisores pedem frequentemente uma captura de ecrã de cada plataforma. Um património em Cisco Meraki e HPE Aruba precisa de pelo menos dois. Adicione sites Juniper Mist ou Ubiquiti UniFi e o valor de entrada aumenta com eles.

As definições a capturar são as mesmas em todas as consolas:

• O modo de segurança do SSID.
• O servidor RADIUS para o qual o SSID aponta.
• A atribuição dinâmica de VLAN, que utiliza os atributos de túnel RADIUS no RFC 3580.

Franquias e patrimónios geridos

Quando os franqueados são proprietários dos pontos de acesso, a evidência central cobre apenas a política. Diminua a quota de reutilização para as perguntas de site e aumente os minutos de site de amostra. As capturas de ecrã dos franqueados demoram mais tempo a recolher.

Os setores verticais alteram as redes no âmbito

As redes que importam dependem de quem se conecta:

• Hotelaria: os hóspedes ficam na rede aberta e a equipa na rede segura. A Whitbread executa WiFi de funcionários segmentado no Purple.
• Patrimónios multiarrendatários como empreendimentos para arrendamento (BTR) e alojamento estudantil: os residentes ficam geralmente em xPSK. Conte com perguntas sobre o isolamento entre residentes.
• Comércio a retalho: os revisores focam-se na segmentação PCI DSS entre a rede de compradores e os sistemas de pagamento.
• Cuidados de saúde: os pacientes e visitantes ficam na rede aberta. Os dispositivos clínicos ficam frequentemente em xPSK.

Mantenha uma coluna de redação por revisor

Adicione uma coluna ao CSV descarregado para a formulação de cada revisor. Diferentes revisores fazem a mesma pergunta com palavras diferentes. Mapear a sua formulação para um único artefacto é o que aumenta a sua quota de reutilização da próxima vez.

O que devo fazer com o resultado antes da próxima revisão?

Leia as horas produzidas em relação a três faixas:

• Menos de 10 horas: o pacote está saudável. Atualize as linhas datadas em cada trimestre.
• Entre 10 e 20 horas: observe onde se agrupam as perguntas novas, por rede.
• Mais de 20 horas: o pacote é escasso ou uma rede tem uma lacuna estrutural que nenhuma captura de ecrã consegue cobrir.

Se as perguntas novas se agruparem na rede de funcionários, verifique se esta é executada numa frase de segurança partilhada. Uma chave partilhada não consegue comprovar o acesso individual nem a remoção limpa de um ex-colaborador.

A solução não requer novo hardware:

1. Mova a equipa para o WiFi da equipa na rede segura.
2. Configure o SSID para WPA2- ou WPA3-Enterprise.
3. Aponte-o para o RADIUS na nuvem da Purple.
4. Deixe que o fornecedor de identidade decida a VLAN.

O nosso guia sobre 802.1X para grupos de restauração com múltiplos espaços explica essa implementação em centenas de localizações. A configuração do MDM para certificados de dispositivos demoras cinco a dez minutos, uma única vez, para toda a organização.

{"tone":"proof","text":"A McDonald's registou menos 80% de pedidos de suporte informático com a Purple. A JPMorgan gere o WiFi da equipa na Purple em 5 000 balcões e a Whitbread gere o WiFi da equipa segmentado na Purple."}

Duas verificações adicionais pertencem à lista:

• Datas de expiração dos certificados. Um certificado do servidor RADIUS expirado bloqueia o acesso da equipa e transforma uma revisão aprovada num incidente. O nosso guia sobre certificado do servidor RADIUS expirado abrange a recuperação. Adicione a data de renovação ao dossier.
• A perspetiva geral. Para a sua postura de segurança além do questionário, leia o guia de segurança WiFi empresarial.

Perguntas frequentes

Isto funciona com os pontos de acesso que já possuímos?

Sim. O Purple Access funciona como uma sobreposição na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Basta apontar as definições RADIUS do SSID e o portal cativo para a Purple na consola que já utiliza. Não é necessário hardware novo. As capturas de ecrã no seu dossier de evidências vêm das mesmas consolas que a sua equipa abre todos os dias. A Purple opera em mais de 80 000 locais em 90 países.

Como devemos redigir as respostas sobre PCI-DSS e GDPR?

Descreva o controlo e, em seguida, anexe as evidências do mesmo. Escreva "o tráfego de convidados reside numa VLAN separada sem rota para a rede de pagamentos; teste de segmentação em anexo". Evite uma declaração genérica de que cumpre a norma. O avaliador decide se um requisito no âmbito do GDPR ou PCI-DSS é cumprido. O seu trabalho é tornar esse julgamento rápido, com evidências datadas e um responsável designado para cada resposta.

Quanto tempo demora a criar o dossier permanente de evidências?

Aproximadamente o mesmo tempo que demora a responder a um questionário do zero. De acordo com os valores predefinidos da calculadora, são 31,3 horas para 60 perguntas sem reutilização, incluindo quatro locais amostrados. Depois disso, cada revisão custa o valor de 14,5 horas ou menos. Uma atualização trimestral das linhas datadas mantém a eficiência. Se os certificados da equipa provierem do seu MDM, a configuração demora entre cinco a dez minutos, uma única vez, para toda a organização.

Quanto custa o Purple Access?

Os preços são orçamentados para a sua infraestrutura, com base nas redes que opera e no número de locais abrangidos. Traga os resultados desta ferramenta para a conversa: a sua contagem de locais, as redes por trás das suas novas perguntas e as horas que cada revisão exige. Isto dá-lhe uma visão clara do tempo de equipa que a Purple devolve em comparação com a subscrição.

Precisamos de substituir o nosso servidor RADIUS para responder a estas perguntas?

Não. Pode responder com evidências provenientes de qualquer sistema que autentique a equipa atualmente. Se a coluna das tarefas pendentes continuar a encher-se com renovações de certificados, atualizações de servidores ou registos em falta de colaboradores cessantes, o RADIUS na nuvem da Purple retira esse trabalho no local da sua infraestrutura. O nosso guia sobre alternativas ao Cisco ISE define o que comparar ao ponderar a migração.

Como comprovamos a remoção de colaboradores cessantes em centenas de locais?

Execute um teste com data a um colaborador cessante e anexe o registo do fornecedor de identidade. A equipa que utiliza o 802.1X autentica-se no Microsoft Entra ID, Okta ou Google Workspace. Desativar a conta aí significa que a Purple revoga o acesso por WiFi em toda a infraestrutura, e não local a local. As entradas, mobilidades e saídas de colaboradores fluem todas a partir do diretório. O teste único serve, portanto, como evidência para todos os locais.

O filtragem de DNS pertence à secção de WiFi?

Sim, quando os auditores perguntam o que impede que os dispositivos de convidados acedam a sites nocivos. O filtragem de DNS na Purple é o Shield, um suplemento de segurança, pelo que deve anexar o seu resumo de políticas juntamente com as evidências de rede aberta. Mantenha essa resposta separada das questões de autenticação. A filtragem rege para onde vai o tráfego. O 802.1X e o xPSK regem quem entra e em que VLAN acedem.

Podemos reutilizar o mesmo pacote para uma revisão de segurança de clientes e para uma seguradora?

Sim. A maior parte das evidências é aplicável a ambos, porque ambos os auditores perguntam quem pode entrar, o que podem aceder e como é que o sabe. Mantenha uma coluna no CSV para a formulação de cada auditor e mapeie-a para o mesmo artefacto. Apenas os locais amostrados e as datas de captura mudam entre revisões. Em seguida, mantenha os seus certificados Cyber Essentials e ISO 27001 centralizados para cada pedido.